문을 닫은 집은 열쇠를 바꿀 수 있는 집이고, 뚫릴 집은 문을 닫지도 않았다

발견 — 서고에서

두 서가가 같은 단어를 썼는데, 한쪽은 기술면이고 한쪽은 사회면이다. 10월 24일 1면 수렴 감지기는 [PHP]를 4.0으로 읽었다 — 평소 서로 부르지 않던 [교도통신]·[왓츠앱 서비스 장애]·[사이버 보안]·[라인] 네 서랍이 하루 사이 같은 이름을 불렀다 [S1]. 교도통신 서랍의 10월 22일 층에는 비행 중 비상문을 열려던 승객의 판결 옆에 PHP 취약점 발견이 한 줄로 끼어 있다 [S15] — 보안 뉴스가 사회면 다이제스트의 한 줄이 된 날이다. 같은 날 [왓츠앱 서비스 장애] 층은 전 세계 당국이 웹사이트의 일시적 오프라인 전환을 권고했다고 적었다 [S16].

[PHP] 서랍은 사흘 동안 두 종류의 숫자를 적었다. 한쪽은 공격의 크기다. 10월 22일 층: AI가 10년 넘게 확인되지 않았던 치명적 취약점 2건을 찾았고, 전 세계 웹사이트의 70% 이상이 쓰는 언어이며, 제네바대와 유럽·캐나다 정부 사이트가 오프라인이 됐고, NSA가 전 조직에 대응을 요청했다 [S2]. 23일 층: 전 세계 웹사이트를 향한 공격 시도가 수백만 건, 과기정통부는 사이버위기 경보를 '주의'로 올렸고, 공격자는 로그인 없이 서버에서 명령을 실행할 수 있다 [S3]. 서고 신호에는 아마존이 패치 공개 나흘 전인 10월 17일부터 공격 시도를 포착했다는 기록 [S11], 국내 취약 서버가 11만 건으로 추정된다는 기록 [S8], 국내 웹페이지의 70~80%가 PHP라는 과기정통부 관계자의 말 [S13], 국정감사에서 나온 "국내 약 80%" [S14], 개인정보위의 "대규모 개인정보 유출로 이어질 수 있다"는 경고 [S12]가 있다.

다른 쪽 숫자는 피해다 — 그런데 피해 쪽은 비어 있다. 24일 층: 일본 후생노동성 관련 사이트 31곳이 일시 정지됐으나 정보 유출 보고는 없다 [S4]. 23일 층: 전국 법원 전산망이 2시간 멈췄지만 법원행정처는 PHP와 무관하다고 선을 그었다 [S3]. 서고 신호의 NBC 기사 제목은 "해커들이 PHP 결함 악용에 애를 먹는 듯"이고, 전문가들은 광범위한 피해 보고가 거의 없다고 했다 [S9]. 대신 적힌 것은 전부 스스로 문을 닫은 목록이다 — 미국·일본·유럽의 정부·은행·학교·병원 웹사이트가 예방 차원에서 폐쇄됐고 [S5], 러시아 연방보안국은 핵심 정보 인프라 운영 조직에 웹사이트 일시 폐쇄를 명령했으며, 게임 업계는 긴급 점검 끝에 노후 게임 2작품의 서비스 종료를 결정했다 [S4]. 닛케이는 이것을 한 문장으로 적었다: "PHP 결함에 사이트를 멈춘 일본, 멈추지 않은 미국" [S10].

그리고 두 숫자 사이에 세 번째 숫자가 하나 있다. 경향신문이 옮긴 켄시스 조사 — PHP 서버 중 73%가 공식 보안 업데이트가 끊긴 8.1 이하 구버전이고, 이들은 이번 긴급 패치를 적용하지 못한다 [S7]. 같은 날 [사이버 보안] 층에는 암참과 시스코의 말이 있다 — 보안 지원이 종료된 노후 IT 장비가 기업을 위협하는 해커의 통로가 된다 [S6]. 서고는 세 숫자(수백만 건의 시도, 0건의 확인된 침해, 패치 못 받는 73%)를 나란히 적었지만, 셋이 어떻게 이어지는지는 적지 않았다. 수백만 번 두드렸는데 왜 뚫린 문이 없는가 — 이것이 서고만으로는 답이 안 나오는 「왜」다.

⚠ 가설

PHP2Shell의 침해는 첫 주가 아니라 패치가 닿지 않는 구버전 서버 73%에서 몇 주 뒤에 나온다 — 지금의 「침해 없음」은 결론이 아니라 시차다. 풀이는 이렇다. 이번 주에 문을 닫은 곳(후생노동성·은행·정부 사이트)은 패치를 적용할 수 있는 곳이다 — 닫을 수 있다는 것은 다시 열 때 열쇠를 바꿀 수 있다는 뜻이다. 패치가 없는 8.1 이하 구버전은 다른 집단에 있다: 켄시스가 버전을 확인한 157만 7000대 중 115만 대, 관리 인력이 부족한 중소기업·공공기관·병원·학교의 노후 시스템이다 [W3]. 이들은 문을 닫지 않았고(닫았다는 기록이 서고에 없다), 닫지 않았으니 열쇠도 그대로다. 공격자가 첫 주에 만난 것은 방화벽 뒤에 숨거나 문을 닫은 큰 집들이고, 뚫기 쉬운 작은 집들은 표적 목록이 정리된 뒤에 차례가 온다. 전례가 그렇게 흘렀다 — 2024년 6월 공개된 PHP CGI 결함(CVE-2024-4577)의 대규모 악용 파도는 5개월 뒤인 11월에 시작됐고, 일본의 통신·기술·교육 조직을 겨냥한 공격은 7개월 뒤인 2025년 1월에 시작됐다 [W5]. Log4Shell을 조사한 미국 사이버안전심의위원회(CSRB)는 그 결함을 "endemic(토착화)"이라 불렀고, 10년 넘게 시스템을 괴롭힐 수 있다는 평가가 따랐다 [W4]. 이 가설이 맞다면 피해 집계는 「스스로 닫은 사이트 수」로 끝나지 않고, 몇 주 뒤 「닫지 않았던 사이트」에서 다시 시작된다.

지지 — 실선

• 롱테일의 크기가 숫자로 있다 — 켄시스 73%(157만 7000대 중 115만 대, 8.1 이하) [S7][W3]. 쇼단 기준으로는 버전을 밝힌 호스트 약 150만 중 88만 3717대(59%)가 공식 패치가 없는 5.x·7.x·8.0~8.1이고, 그중 5.6과 7.2만 약 37만 1000대다. 한국은 버전 공개 호스트의 82%가 이 구간으로 상위 10개국 중 둘째다 [W2]
• 전례가 둘이고 둘 다 시차를 가리킨다 — CVE-2024-4577은 공개 직후에도 악용이 있었지만 대규모 파도는 5개월 뒤, 일본 표적은 7개월 뒤였다 [W5]. Log4Shell은 CSRB가 초기 악용이 많은 전문가의 예상보다 낮은 수준이었다고 하면서도 10년 지속을 전망했다 [W4]. 첫 주의 조용함은 두 전례에서 모두 결말이 아니었다
• 공격자는 능력이 없는 것이 아니라 먼저 움직였다 — 아마존 허니팟이 패치 공개 나흘 전 10월 17일에 시도를 잡았고 [S11][W1], 클라우드플레어는 공격자가 방화벽 규칙을 피하려고 페이로드를 바꾸는 것을 봤다 [W6]. 켄시스의 연구자는 패치 전에 몇 곳이 뚫렸는지 알아내는 데 며칠이 걸릴 것이라 했다 [W8]. 두드리는 쪽은 배우는 중이고, 배운 뒤 갈 곳은 패치된 큰 집이 아니다
• 문을 닫은 쪽과 패치를 못 받는 쪽이 다른 집단이다 — 닫은 곳은 후생노동성 31곳·러시아 핵심 인프라·정부·은행·병원 [S4][S5]. 패치 못 받는 곳은 중소기업·공공기관·병원·학교의 노후 시스템 [S7][W3]. 행정안전부가 소관 217개 시스템을 조사하니 PHP로 개발한 것이 없었다 [S17] — 큰 공공은 애초에 이 결함의 집이 아니다. 암참·시스코가 짚은 지원 종료 노후 장비 [S6]가 정확히 이 집단이다
• 결함이 오래된 코드일수록 손잡이가 짧다 — 취약 코드 경로는 PHP 5.4.0까지 거슬러 가고 [W1], 해당 코드는 10년 넘게 PHP 안에 있었다 [W6]. 8.1 이하에는 공식 릴리스가 아니라 소스 백포트만 있어 운영자가 직접 빌드해야 하며, 5.4~7.3에는 그것도 없다 [W1]. 패치의 손잡이가 작은 집일수록 짧다

반박 — 점선

• 익스플로잇이 어렵다 — 두 결함은 메모리 손상이다. 하나는 메모리 부족(OOM) 처리 뒤 요청 메모리가 초기화되지 않은 채 남는 것, 하나는 longjmp 뒤 전역 상태가 해제된 영역을 가리키는 것이다 [W7]. 문자열 한 줄로 터지던 Log4Shell과 성질이 다르다. PHP 재단은 출시 시점에 작동하는 익스플로잇을 찾지 못했다고 했고, 첫 결함은 PHP-FPM에서 완전한 익스플로잇이 제시되지 않았으며 [W6], 공개 코드는 미검증이다 [W1]. CISA는 10월 21일 시점에 악용을 관측하지 못했다고 했다 [W8]. NBC가 옮긴 "해커들이 애를 먹는 듯" [S9]이 사실이라면, 첫 주의 조용함은 시차가 아니라 결함의 성질이고, 롱테일이 커도 자동화된 대규모 악용은 오지 않는다
• 73%·59%는 과대평가다 — 리눅스 배포판은 옛 버전 번호 아래 패치를 백포트하므로 "구버전"으로 보이는 호스트 중 상당수가 이미 고쳐졌을 수 있고 [W2][W6], 국내에서는 카페24가 7.4·8.1에 별도 보안 조치를, 가비아가 7.4에 긴급 패치를 적용했다 [W3]. 호스트는 호스팅사에 몰려 있어(아마존 29만 3480대, Hostinger 14만 2401대, 알리바바 클라우드 8만 1078대) [W2] 호스팅사 한 곳의 조치가 수십만 대를 한 번에 닫는다. 롱테일은 꼬리의 길이가 아니라 몇 개의 손잡이일 수 있다 — 그렇다면 「패치가 닿지 않는 73%」라는 이 노트의 몸통이 절반 아래로 줄어든다
• 경계가 결함 앞에 선다 — 클라우드플레어는 방화벽 규칙을 기본 적용했고 팔로알토는 10월 20일 밤부터 가상 패치를 돌렸다 [W6][W7]. FBI는 즉시 업데이트가 불가능하면 네트워크를 차단하라고 했고 러시아는 폐쇄를 명령했다 [S4][S5]. 노출 표면이 줄어드는 속도가 공격자가 표적 목록을 정리하는 속도보다 빠르면, 롱테일은 두드려지기 전에 사라진다. 전례의 시차는 경계가 없던 시절의 시차일 수 있다
• 피해가 나와도 PHP2Shell로 귀속되지 않는다 — 안랩은 패치 전 노출된 서버는 침해 여부도 점검해야 한다고 했지만 [W3], 관리 인력이 없는 작은 서버는 점검도 신고도 하지 않는다. 그렇다면 가설이 맞아도 「공식 확인 건수」라는 관측점에는 잡히지 않고, 이 노트는 지지도 반박도 아닌 측정 불가로 끝난다. 관측점 1·4가 0건으로 나와도 「없었다」가 아니라 「세지 못했다」일 수 있다는 뜻이고, 그 경우 이 노트는 반박으로 센다 — 관측되지 않는 피해는 노트의 근거가 될 수 없다
• 전례의 모양이 이번과 다르다 — CVE-2024-4577은 공개 직후부터 랜섬웨어(TellYourPass)에 쓰였고 그 위에 다섯 달 뒤 큰 파도가 왔다 [W5]. 첫 주가 조용하지 않았다. 이번은 첫 주가 조용하다 — 모양이 다른 전례를 끌어오는 것은 시차의 증거가 아니라 유추다. 「표적이 넓은 결함은 첫 주에 다 터지고, 안 터졌으면 끝」이라는 반대 읽기도 같은 전례로 가능하다
• 자기 반박: 이 노트의 틀은 「아직 안 나왔다」를 「나중에 나온다」로 읽는다 — 반증을 미루는 구조라서, 침해가 안 나오면 "아직"이라 하고 나오면 "봐라"라 할 수 있다. 음모론과 갈리는 선은 기한뿐이다: 12월 21일(공개 두 달)까지 ① CISA KEV 등재 ② 5.x·7.x를 겨냥한 2차 악용 파도 ③ 국내 침해 공식 확인 — 셋 중 둘이 비면 이 가설은 틀렸다고 적는다. 하나 더: CSRB가 Log4Shell에서 악용이 예상보다 낮은 수준이었다고 적은 것처럼 [W4], 롱테일은 크지만 가치가 낮은 집들(방치된 사이트, 버려진 서브도메인)일 수 있다. 뚫려도 아무도 모르고 아무 일도 없는 침해는 「피해」가 아니다 — 가설이 맞으면서 동시에 아무 의미가 없는 경우가 있고, 그때도 이 노트는 틀린 것으로 센다

판정 — 보류

서고는 세 숫자를 나란히 적었고, 이 노트는 셋을 한 줄로 이었다 — 줄이 맞는지는 11월 14일의 첫 공식 침해와 12월 21일의 2차 파도가 정한다. 그때까지 「침해 없음」은 사실이고 「시차」는 가설이다 — 둘을 문장 단위로 갈라 둔다. 두 달 안에 꼬리에서 아무 소리가 안 나면, 이번 사건의 값은 침해가 아니라 스스로 닫은 사이트 수로 매겨진 것이고, 이 노트는 그 반대편에 섰던 기록으로 남는다.

후속 관측점

1. 11월 14일 — 첫 공식 침해. CISA KEV 등재, 또는 KISA·과기정통부가 PHP2Shell 기인 침해(웹셸·유출)를 공식 확인 — 1건 이상이면 지지(시차가 시작됐다), 0건이면 반박 쪽으로 한 칸(전례의 시차가 5개월이라 확정은 아니다) 2. 12월 21일 — 2차 파도. GreyNoise·Censys 류 관측에서 PHP2Shell 스캔·악용 시도가 다시 솟고 그 표적이 5.x·7.x인가 — 있으면 지지, 1차 파도로 소멸했으면 반박. 자기 반박의 기한이기도 하다: ①②③ 중 둘이 비면 가설 폐기 3. 11월 30일 — 꼬리의 길이. Censys·Shodan 재집계에서 지원 종료 버전 비율(73%·59%)이 10%p 이상 줄었는가 — 줄었으면 반박(손잡이 몇 개로 닫혔다), 거의 그대로면 지지(꼬리는 남아 있다) 4. '주의' 경보 해제일 + 한 달. 과기정통부가 경보를 내린 뒤 한 달 안에 국내 침해 사례가 공개되는가 — 공개되면 지지(닫은 뒤에 열렸다), 조용하면 반박. 12월 31일 PHP 8.2 지원 종료 [W6]로 꼬리가 길어지는 것도 같은 달에 본다

출처

서고 (관측 기록):

• [S1] 1면 수렴 2026-10-24 — PHP 4.0 (교도통신·왓츠앱 서비스 장애·사이버 보안·라인, 2개 카테고리)
• [S2] 《PHP》 층 2026-10-22 — AI가 10년 넘게 확인되지 않았던 취약점 2건 발견, 전 세계 웹사이트 70% 이상, 제네바대·유럽·캐나다 정부 사이트 오프라인, NSA·FBI 대응 요청, 20건 이상 사이트 정지
• [S3] 《PHP》 층 2026-10-23 — 공격 시도 수백만 건, 과기정통부 '주의' 경보, 로그인 없이 서버 명령 실행, 법원 전산망 2시간 장애는 PHP 무관
• [S4] 《PHP》 층 2026-10-24 — 러시아 FSB 웹사이트 일시 폐쇄 명령, 후생노동성 31곳 정지·유출 보고 없음, 해커 나흘 선행, 노후 게임 2작품 서비스 종료
• [S5] 《사이버 보안》 층 2026-10-23 — 미·일·유럽 정부·은행·학교·병원 웹사이트 예방 폐쇄, FBI 네트워크 차단 권고, BSI "위험 여전"
• [S6] 《사이버 보안》 층 2026-10-24 — AI가 22년 알려진 위협을 이틀 만에 위기로, 암참·시스코 "지원 종료 노후 IT 장비가 해커 통로"
• [S7] 《PHP》 서고 신호 2026-10-22 — PHP 서버 중 73% 구버전, 긴급 패치 적용 못 함, 8.1 이하 별도 대응 필요 (경향신문)
• [S8] 《PHP》 서고 신호 2026-10-22 — 국내 취약 서버 11만건 추정, 업계 긴급 대응 (연합뉴스)
• [S9] 《PHP》 서고 신호 2026-10-22 — 해커들이 PHP 결함 악용에 애를 먹는 듯, 광범위한 피해 보고 거의 없음 (NBC News)
• [S10] 《PHP》 서고 신호 2026-10-22 — PHP 결함에 사이트를 멈춘 일본, 멈추지 않은 미국 (日本経済新聞)
• [S11] 《PHP》 서고 신호 2026-10-23 — 아마존, 공개 나흘 전 10월 17일부터 공격 시도 포착, 공개 뒤 수백만 건 (동아일보)
• [S12] 《PHP》 서고 신호 2026-10-22 — 개인정보위 "대규모 개인정보 유출로 이어질 수 있어" (조선비즈)
• [S13] 《PHP》 서고 신호 2026-10-22 — 과기정통부 22일 12시 경보 '관심'→'주의', CISO 등록 기업 2만8000곳·기반시설 111곳 긴급 수칙, "국내 웹페이지 70~80%" (동아일보)
• [S14] 《PHP》 서고 신호 2026-10-23 — 국정감사, 국내 웹사이트 약 80%가 PHP, 정부 보안 패치 안내 (지디넷코리아)
• [S15] 《교도통신》 층 2026-10-22 — 사회면 다이제스트에 PHP 취약점 한 줄, 일본 현경·기업 데이터 유출 추가 보고
• [S16] 《왓츠앱 서비스 장애》 층 2026-10-22 — 전 세계 당국, 웹사이트 일시 오프라인 전환 권고
• [S17] 《PHP》 서고 신호 2026-10-23 — 행안부 소관 217개 시스템 중 PHP 개발 시스템 없음, 지자체·공공기관 긴급 공문 (경향신문)

웹 (배경):

• [W1] Tenable — php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions (2026-10-21, 10-23 갱신)
• [W2] CybelAngel — 2.24M Internet-Facing PHP Hosts, 59% on Versions With No Fix Coming (2026-10-21)
• [W3] 경향신문 — PHP 서버 중 73% '구버전' 사용…긴급 패치 적용 못한다 (2026-10-22)
• [W4] BankInfoSecurity — Log4j Flaw Is 'Endemic,' Says Cyber Safety Review Board (2022-07-15)
• [W5] ITmedia — PHPの重大な脆弱性「CVE-2024-4577」が複数の国で大規模に悪用 (2025-03-22)
• [W6] The Hacker News — PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge (2026-10-21)
• [W7] Palo Alto Unit 42 — Threat Brief: Critical Vulnerabilities in PHP, CVE-2026-109618 / CVE-2026-109619 (2026-10-22 갱신)
• [W8] NBC Connecticut/AP — Critical vulnerabilities in commonly used web code spark rush to update systems (2026-10-21)